OpenSSH Verbetert Beveiliging met Nieuwe Functie

OpenSSH verscherpt de beveiliging met een nieuwe functie die aanvallers met slimme straffen in hun spoor wil stoppen.

OpenSSH, dat momenteel wordt ontwikkeld als onderdeel van het OpenBSD-project, heeft nieuwe configuratie-opties geïntroduceerd voor zijn SSH-daemon (sshd), die beloven kwaadaardige pogingen tot ongeoorloofde toegang te verminderen.

De update, geleid door ontwikkelaar Damien Miller, bevat twee belangrijke functies: PerSourcePenalties en PerSourcePenaltyExemptList. Deze toevoegingen zijn ontworpen om te verfijnen hoe sshd omgaat met verdacht gedrag van clients, terwijl wordt gewaarborgd dat legitieme gebruikers niet onnodig worden beïnvloed.

De nieuwe PerSourcePenalties-optie stelt sshd in staat om abnormaal gedrag dat tijdens het SSH-authenticatieproces wordt gedetecteerd te monitoren en erop te reageren. Wanneer deze functie is ingeschakeld, houdt sshd de exitstatussen bij van zijn child pre-auth sessieprocessen om mogelijk schadelijke activiteiten te identificeren.

Voorbeelden van dergelijke activiteiten zijn herhaalde mislukte inlogpogingen, wat kan wijzen op een poging om wachtwoorden te raden, of handelingen die ertoe leiden dat sshd crasht, wat mogelijk duidt op een poging tot exploitatie.

Onder dit systeem, als een cliënt gedrag vertoont dat leidt tot een problematische exitstatus, legt sshd een tijdelijke straf op het IP-adres van de cliënt op, waardoor verdere verbindingen vanaf dit adres en andere binnen hetzelfde netwerkblok voor een bepaalde tijd worden geblokkeerd.

Deze strafperiode kan toenemen bij herhaalde overtredingen, tot een maximale drempel. Belangrijk is dat deze functie is ontworpen om zijn reactie aan te passen op basis van de ernst en frequentie van de overtredingen, waardoor het een dynamisch hulpmiddel tegen netwerk aanvallen wordt.

Omgekeerd stelt de PerSourcePenaltyExemptList beheerders in staat om IP-adressen of reeksen op te geven die vrijgesteld zijn van deze straffen, zodat vertrouwde clients geen verbindingsproblemen ondervinden door strikte beveiligingsmaatregelen. Dit is vooral nuttig voor adressen die in gevoeliger omgevingen regelmatig valse meldingen kunnen veroorzaken.

Miller uitte optimisme over de nieuwe functies en merkte op dat ze 'het aanzienlijk moeilijker zullen maken voor aanvallers om accounts met zwakke of te raden wachtwoorden te vinden of fouten in sshd zelf te exploiteren.'

Hij gaf ook aan dat hoewel de PerSourcePenalties-functie momenteel standaard is uitgeschakeld, deze waarschijnlijk automatisch zal worden ingeschakeld in toekomstige updates.

Velen van jullie vergelijken de nieuwe functie misschien met de populaire Fail2Ban-tool, en jullie hebben gelijk; ze zijn qua functionaliteit best vergelijkbaar. Maar we hebben het hier over een native implementatie van deze functionaliteit direct in sshd, wat fantastisch is.

Het is echter belangrijk op te merken dat dit niet betekent dat Fail2Ban niet meer nuttig is. Het heeft veel extra functies, zoals het beheren van verschillende soorten authenticatie en het op specifieke manieren behandelen van verschillende gebruikers, dus haast je niet om het af te schaffen wanneer de nieuwe functie beschikbaar komt in je OpenSSH-implementatie.

Voor meer informatie kunt u de aankondiging in het OpenBSD Journal bekijken.